ثغرة حرجة في OpenSSH تصيب توزيعات لينكس المعتمدة على musl
الثغرة CVE-2026-123158 تتيح تجاوز المصادقة عبر كلمة مرور بحجم 257 إلى 1024 بايت، وأعلنت Alpine Linux إصابة جميع إصداراتها المفحوصة.
كُشف يوم 7 نوفمبر 2026 عن ثغرة حرجة لتجاوز المصادقة في OpenSSH على توزيعات لينكس المعتمدة على musl، وتُتابَع تحت المعرّف CVE-2026-123158، وقد صدرت تحديثات لمعالجتها، حسب zdnet.com.
تسمح الثغرة للمهاجم بتسجيل الدخول إلى الحسابات التي أُوقفت فيها كلمة المرور أو التي تعتمد على المفاتيح فقط، وذلك بإرسال كلمة مرور كبيرة الحجم يتراوح طولها بين 257 و1024 بايت.
يعود سبب الخلل إلى أن دالة crypt() في musl تُرجع السلسلة * كمؤشر على الخطأ عند المدخلات الطويلة، وهو ما يطابق * المخزّنة في حقول كلمات المرور الخاصة بالحسابات التي لا تملك كلمة مرور. ويشترط استغلال الثغرة أن يكون openssh-server مبنيًا دون PAM أو مع UsePAM no، وأن يكون PasswordAuthentication مُفعّلًا، إضافة إلى وجود حساب آخر واحد على الأقل على الجهاز يحمل تجزئة كلمة مرور من الإصدارين 5 أو 6.
التوزيعات المتأثرة والتوصيات
أعلنت Alpine Linux أن جميع الإصدارات التي فحصتها متأثرة، من 3.16 حتى 3.24 وإصدار edge، مع الإشارة إلى أن صور tiny-cloud من 3.18.11 حتى 3.24.3 هي الأكثر عرضة للخطر. وأوضحت أن الحاويات التي لا تعمل فيها خدمة sshd، والأنظمة التي أُوقفت فيها مصادقة كلمة المرور، والأنظمة التي تستخدم openssh-server-pam مع UsePAM yes ليست متأثرة.
من جانبها، قالت Wind River إنها تراجع الثغرة المبلّغ عنها بشكل نشط وستتخذ الإجراء المناسب.
ويُنصح المستخدمون بتثبيت التحديثات فورًا وإعادة تشغيل البرنامج بعد التحديث. وتشير خلفية الحادثة إلى أن سلوك دالة crypt() في musl الذي يتيح الثغرة موجود منذ عام 2016، حسب المجموعة التي اكتشفت المشكلة.
أسئلة سريعة
ما هي الثغرة CVE-2026-123158؟
ثغرة حرجة لتجاوز المصادقة في OpenSSH على توزيعات لينكس المعتمدة على musl، تتيح تسجيل الدخول إلى حسابات أُوقفت فيها كلمة المرور عبر إرسال كلمة مرور يتراوح طولها بين 257 و1024 بايت.
هل إصدارات Alpine Linux متأثرة؟
نعم، قالت Alpine Linux إن جميع الإصدارات التي فحصتها متأثرة، من 3.16 حتى 3.24 وإصدار edge، وإن صور tiny-cloud من 3.18.11 حتى 3.24.3 هي الأكثر عرضة للخطر.
ما الذي ينبغي على المستخدمين فعله؟
يُنصح المستخدمون بتثبيت التحديثات فورًا وإعادة تشغيل البرنامج بعد التحديث.